[논문]NCP 기반의 광대역 융합 망에서 DDoS 공격 대응 기법 설계

한경은; 양원혁; 유경민; 유재영; 김영선; 김영천

[국내논문] NCP 기반의 광대역 융합 망에서 DDoS 공격 대응 기법 설계
Design of Defence Mechanism against DDoS Attacks in NCP-based Broadband Convergence Networks 원문보기

한국통신학회논문지. The Journal of Korea Information and Communications Society. 네트워크 및 서비스, v.35 no.1B, 2010년, pp.8 - 19

한경은 (한국전자통신연구원) , 양원혁 (전북대학교 컴퓨터공학과 영상정보신기술연구소) , 유경민 (전북대학교 컴퓨터공학과 영상정보신기술연구소) , 유재영 (전북대학교 컴퓨터공학과 영상정보신기술연구소) , 김영선 (한국전자통신연구원) , 김영천 (전북대학교 컴퓨터공학과 영상정보신기술연구소)

초록
AI-Helper

본 논문에서는 DDoS (Distributed Denial of Service) 공격에 따른 비정상적인 트래픽의 범람(flood)을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 NCP (Network Control Platform) 기반의 DDoS 공격 대응 기법을 제안한다. 또한 이를 위하여 NCP와 SR (Source Router), VR (Victim Router)의 기능 모듈을 정의하고 high-flow 감지를 위한 임계값 및 공격 패킷 폐기율 결정식을 제안한다. 제안한 기법에서 NCP는 SR과 VR로부터 수집된 high-flow정보와 큐 정보를 기반으로 DDoS 공격 여부를 판단하고 이에 따라 패킷 폐기율을 결정한다. SR과 VR은 NCP에 의하여 결정된 패킷 폐기율에 따라 해당 플로우에 속하는 패킷을 폐기시킨다. 성능 평가를 위하여 OPNET 환경에서 시뮬레이션을 수행하고 SR, VR의 큐 크기, 공격 트래픽의 전송량 관점에서 비교 분석한다.

Abstract ▼ AI-Helper

In this paper, we propose the NCP (Network Control Platform)-based defense mechanism against DDoS (Distributed Denial of Service) attacks in order to guarantee the transmission of normal traffic and prevent the flood of abnormal traffic. We also define defense modules, the threshold and packet drop-rate used for the response against DDoS attacks. NCP analyzes whether DDoS attacks are occurred or not based on the flow and queue information collected from SR (Source Router) and VR (Victim Router). Attack packets are dopped according to drop rate decided from NCP. The performance is simulated using OPNET and evaluated in terms of the queue size of both SR and VR, the transmitted volumes of legitimate and attack packets at SR.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

본 논문에서는 NCP 기반의 제어망에서 DDoS 공격의 효과적인 감지 및 대응을 위한 기법을 제안하였다. 제안한 기법에서 NCP는 대량의 비정상적인 트래픽의 범람을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 SR과 VR로부터 수집된 정보를 기반으로 망 상태 및 DDoS 공격 여부를 감지하여 트래픽을 제어하는 기능을 수행한다.
본 논문에서는 대량의 비정상적인 트래픽의 범람 (flood)을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 NCP (Network Control Platform) 기반의 제어망에서 DDoS 공격에 효과적인 대응 기법을 제안한다. 제안한 기법에서 NCP는 SR과 VR로부터 수집된 플로우 및 큐 정보를 기반으로 망 상태 및 DDoS 공격 여부를 감지하고 공격 트래픽을 제어하는 기능을 수행한다.

가설 설정

SR의 큐는 무한으로 설정하였고 VR의 큐크기는 IMbits로 설정한다. 패킷 폐기율에 사용되는 파라미터 (3, 7> min, max는 각각 3.0, 5.0, 0.1,0.8로 가정하였다. 표 1은 시뮬레이션 파라미터를 나타낸다.

제안 방법

먼저, 임계값을 기반으로 모니터링 정보를 수집하여 NCP에게 전송한다. SRe 일정주기 동안 유입되는 플로우를 모니터링하며 전송량 임계값을 초과하는 high-flow가 팀지되면 이를 NCP 에게 알리고 특정 시간 동안 ICMP 패킷을 이용하여 VR 평균 응답시간 측정한다. 측정된 결과 값은 NCP에게 전송된다.
Step-2. SRe 특정 주기(Tm)를 기반으로 각 플로우 도착율 측정 및 모니터링을 수행한다.
제안한 기법에서 NCP는 대량의 비정상적인 트래픽의 범람을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 SR과 VR로부터 수집된 정보를 기반으로 망 상태 및 DDoS 공격 여부를 감지하여 트래픽을 제어하는 기능을 수행한다. SR의 high-flow 감지를 위한 임계값은 큐 크기, 링크 용량, 유입되는 플로우 수를 고려하여 결정하였으며 NCP에서의 패킷 폐기율은 평균 지연시간, 큐점유율 및 증가율을 기반으로 결정하였다. 시뮬레이션을 통하여 제안한 기법이 DDoS 공격을 정확히 감지하고 효과적으로 차단함으로써 합법적 트래픽의 전송을 보장하는것을 확인할 수 있었다.
이를위하여 DDoS 공격 대응을 위한 각 기능 모듈을 정의하고 high-flow 감지를 위한 임계값 및 공격 패킷폐기율을 결정한다. high-flow 감지를 위한 임계값 결정을 위하여 큐 크기, 링크 용량, 유입되는 플로우 수를 고려하며, NCP에서의 패킷 폐기율은 평균지연시간, 큐점유율 및 증가율을 고려하여 결정한다. 기존 DDoS 공격 대응 기법들은 에지 라우터에서 이상 징후 감지, 공격 여부 판단, 공격 대응 등모든 기능을 수행하도록 하고 있다.
측정된 결과 값은 NCP에게 전송된다. 두 번째는 NCP로부터 수신한 폐기율과 플로우 정보를 기반으로 공격 플로우와 혼잡 유발 플로우에 대한 트래픽제어를 수행하는 것이다.
VR로부터 경고 메시지를 받은 NCP는 패킷 폐기율을 SR에 전송함으로써 VR로 유입되는 트래픽양을 조절한다. 또한 VRe NCP로부터 수신한 패킷 폐기율과 플로우 정보를 기반으로 해당 플로우에 속하는 패킷을 우선적으로 폐기시킨다.
이는 에지 라우터의 복잡성을 증가시키고 제한된 정보로 인하여망 전체 상태의 정확한 판단 및 신속한 대응에 한계를 가져온다. 반면에 제안한 기법은 각 에지 라우터에서 이상 징후를 감지하고 NCP의 중앙집중제어를 통하여 전체 망 상태 및 공격 여부를 정확하게 판단하도록 한다. 따라서 에지 라우터의 복잡성을 줄이는 동시에 이상 징후 감지를 용이하게 하고 NCP의 분석 결과 및 대응 결정에 따라 DDoS 공격에 신속하고 정확하게 대응할 수 있다는 장점을 갖는다.
따라서 에지 라우터의 트래픽 처리능력과 유입되는 트래픽양이 임계값 결정을 위한 중요 파라미터가 된다. 본 논문에서는 임계값(77加) 결정을 위하여 안정화 상태의 SR 큐 크기(<2, .xa), 제공되는 링크 용량(G)및 플로우의 수%)를 고려한다. 여기서, Q과 a 는 각각 SR 큐의 크기와 안정화 상태일 때의 최대 큐 임계값을 나타낸다.
따라서 NCP는 DDoS 공격 대응을 위하여 에지라우터로부터 전송된 정보와 자신의 통계 자료를 기반으로 보안 정책을 결정한다. 이를 위하여 각 라우터와 독립된 제어 채널을 설정하고 주기적으로 연결 및 공격 관련 정보를 교환한다. 코어에 위치한 라우터는 DDoS 공격에 따른 혼잡 제어와 공격자(attacker) 추적을 위한 패킷마킹(marking) 기능 등을 담당한다.
분석한다. 이를 통하여 제안한 공격 대응 기법의 공격 감지 능력의 정확성, 공격에 대한 효과적인 대응, 합법적 트래픽의 구분 및 전송 보장 관점에서 비교 분석한다. 시뮬레이션을 위하여 망은 5개의 정상 노드와 1개의 공격 노드로 구성되며 각각 2.
대응을 수행해야 한다. 제안한 구조에서 SR로부터 high-flow 상태를 보고 받은 NCP는 DDoS 공격여부를 판단하기 위하여 SR과 VR 간 평균 응답시간과 VR의 큐 정보를 이용한다. 해당 플로우에 대한 패킷을 모두 폐기시키는 DDoS 공격 상황과는 달리, 혼잡 상황인 경우 NCP는 망이 해당 플로우를 수용할 수 있는 범위 내에서 패킷 폐기율을 조절한다.
제안한 기법에서 NCP는 SR과 VR로부터 수집된 플로우 및 큐 정보를 기반으로 망 상태 및 DDoS 공격 여부를 감지하고 공격 트래픽을 제어하는 기능을 수행한다. 또한 NCP는 플로우 정보와 함께 결정한 패킷 폐기율을 SR과 VR에게 전송함으로써 공격 패킷을 신속하게 차단하도록 한다.
제안한 기법에서 NCP는 대량의 비정상적인 트래픽의 범람을 방지하고 합법적인 트래픽 전송을 보장하기 위하여 SR과 VR로부터 수집된 정보를 기반으로 망 상태 및 DDoS 공격 여부를 감지하여 트래픽을 제어하는 기능을 수행한다. SR의 high-flow 감지를 위한 임계값은 큐 크기, 링크 용량, 유입되는 플로우 수를 고려하여 결정하였으며 NCP에서의 패킷 폐기율은 평균 지연시간, 큐점유율 및 증가율을 기반으로 결정하였다.
큐 정보 VR로부터 수집되는 정보, VR의 큐 점유율이 높고 큐에 입력되는 속도가 급격하게 증가하는 경우 DDoS 공격을 의심할 수 있다. 제안한 기법에서 NCP는 해당 VR의 큐점유율 (7?“)이 최대 큐 임계값(QmQ보다 큰 경우, 의심 트래픽으로 간주하고 큐 증가율(S)을 기반으로 공격 및 혼잡여부를 판단한다. 이를 위하여 두 개의 임계값(0, 7)이 사용되며 두 임계값은 DDoS 공격패턴의 분석 결과를 기반으로 결정될 수 있다.

데이터처리

성능 평가를 위하여 OPNET 시뮬레이터를 기반으로 시뮬레이션을 수행하였으며 제안한 임계값과 패킷 폐기율을 기반으로 임계값 변화에 따른 망의 성능을 분석한다. 이를 통하여 제안한 공격 대응 기법의 공격 감지 능력의 정확성, 공격에 대한 효과적인 대응, 합법적 트래픽의 구분 및 전송 보장 관점에서 비교 분석한다.

성능/효과

반면에 제안한 기법은 각 에지 라우터에서 이상 징후를 감지하고 NCP의 중앙집중제어를 통하여 전체 망 상태 및 공격 여부를 정확하게 판단하도록 한다. 따라서 에지 라우터의 복잡성을 줄이는 동시에 이상 징후 감지를 용이하게 하고 NCP의 분석 결과 및 대응 결정에 따라 DDoS 공격에 신속하고 정확하게 대응할 수 있다는 장점을 갖는다.
반면 제안한 기법에서는 NCP가 공격 여부를 판단하여 플로우 정보를 SR에게 전송하므로 공격 패킷이 망에 유입되기 전에 폐기된다. 따라서 일정 시간후 공격 트래픽의 전송沪】 감소하고 점차적으로 합법적인 패킷의 전송이 보장되는 것을 확인할 수 있다
이때 임계값을 기반으로 high-flow를 감지한 SR이 NCP에게 이를 알리고, NCP로부터 받은 폐기율에 따라 자신의 큐에서 해당 패킷을 폐기시키므로 SR의 큐는 감소한다. 또한 임계값이 작을수록 플로우 증가에 민감하게 반응하므로 임계값이 큰 경우보다 빨리 안정화되는 것을 알 수 있다. 임계값이 33MWts인 경우 (THD=3.
8초 이후 VR에 도착한 패킷들은 모두 폐기된다. 반면 제안한 기법을 사용하는 경우, DDoS 공격 시 SR과 VR의 큐가 크게 증가하나 곧 안정화되는 것을 확인할 수 있다. 이는 NCP가 결정한 패킷 폐기율과 플로우 정보를 SR, VR에게 동시에 전송함으로써 현재 유입되는 공격 트래픽 뿐만 아니라 이미 망을 지나 VR로 유입되는 공격 트래픽까지 제거하기 때문이다.
SR의 high-flow 감지를 위한 임계값은 큐 크기, 링크 용량, 유입되는 플로우 수를 고려하여 결정하였으며 NCP에서의 패킷 폐기율은 평균 지연시간, 큐점유율 및 증가율을 기반으로 결정하였다. 시뮬레이션을 통하여 제안한 기법이 DDoS 공격을 정확히 감지하고 효과적으로 차단함으로써 합법적 트래픽의 전송을 보장하는것을 확인할 수 있었다.

참고문헌 (9)

J. Mirkovic, M. Robinson, P. Reiher and G. Oikonomou, "Distributed Defense Against DDOS Attacks," Technical Report, University of Delaware CIS Department, Feb., 2006.
R. Manajan, S. M. Bellovin, S. Floyd, J. Loannidis, V. Paxson and S. Shenker, "Controlling High Bandwidth Aggregates in the Network," ACM SIGCOMM Computer Communication, Vol.32, pp.62-73, July, 2002.
M. Kim, H. Kong, S. Hong, S. Chung and J. Hong, "A Flow-based Method for Abnormal Network Traffic Detection," Proceedings of NOMS'04, pp.599-612, April, 2004.
G. Zhang and M. Parashar, "Cooperative Defense against Network Attacks," Proceedings of WOSIS'05, ICEIS'05, INSTICC Press, pp.113-122, May, 2005.
Y. Fan, H. Hassanein and P. Martin, "Proactive Control of Distributed Denial of Service Attacks with Source Router Preferential Dropping," Computer Systems and Applications'05, April, 2005.
J. Mirkovic, G. Prier and P. Reiher, "Attacking DDoS at the Source," Proceedings of the ICNP'02, November, 2002.
D. Xuan, R. Bettati and W. Zhao, "A Gateway-based Defense System for Distributed DoS Attacks in High-speed Networks," Proceedings of 2001 IEEE workshop on Information Assureance and Security, June, 2001.
J. Mirkovic, "D-WARD:Source-End defense Against Distributed Denial-of-Service Attacks", Ph.D Thesis, 2003.
K. Jozic, "Tracing back DDoS attacks", Masters Thesis, 2002.

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증